英国政府发布工具包，帮助公司改进漏洞披露流程-低调大师

英国政府发布工具包，帮助公司改进漏洞披露流程

2020-09-15 806

英国国家网络安全中心(NCSC)发布了一项指南——“漏洞披露工具包”，以帮助公司实施漏洞披露流程或在已建立漏洞披露流程的情况下进行改进。该指南强调，各种规模的组织都需要为鼓励负责任的漏洞披露。

这份指南并不是让漏洞披露更容易，而是提供了更好的流程建议及必要信息。

如今，大多数网络攻击持续发生，同时研究人员也在不断发现新的安全漏洞风险，所以，漏洞披露程序非常有必要。

不过，现状是，披露这些问题可能特别困难。因为在多数情况下，需要花费大量精力来寻找可以采取相关措施的联系人。NCSC表示，人们希望能够直接向负责的主体报告发现的漏洞。

该指南的内容包括：如何将外部漏洞信息定向给到合适的人;此外该指南遵循明确的标准，该标准定义了公认的关闭漏洞的框架。

NCSC建议设置易于查找的专用联系人(电子邮件地址或安全的Web表单)。这可以通过security.txt轻松完成，该文件是发布在域根目录/.well-known目录中的纯文本文件。security.txt可以存储覆盖公司的安全联系人和漏洞披露政策，也可以链接到这些信息。

确认并非网络钓鱼的情况下，企业应该及时响应未经请求的漏洞披露做出响应，可以与他们互动或者表示感谢等。一家减少其基础结构中漏洞数量的公司，可以提供更安全的产品和服务，并降低成为网络攻击受害者的风险。

此外，NCSC建议企业避免强迫漏洞披露者签署保密协议，“因为个人只是想确保漏洞已得到修复。”所以，让研究人员了解漏洞的处理进展也很重要，这表明对漏洞披露的透明及赞赏。这样做的另一个好处是，可以重新测试并确认问题已经解决。

“漏洞披露工具包”的发布是将漏洞报告嵌入英国立法框架的序言。英国政府目前正在制定法律，要求智能设备制造商向公众提供漏洞披露流程。

参考来源：

https://www.bleepingcomputer.com/news/security/uk-government-releases-toolkit-to-easily-disclose-vulnerabilities/

【责任编辑：赵宁宁 TEL：（010）68476606】

微信关注我们

原文链接：http://netsecurity.51cto.com/art/202009/626190.htm

转载内容版权归作者及来源网站所有！

低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。

针对东南亚中小企业的勒索软件攻击急剧下降

根据卡巴斯基的数据，今年针对东南亚中小型企业的勒索软件攻击数量急剧下降。数据显示，在东南亚地区发现和阻止的勒索软件攻击数量从2019年1月至6月的140万次下降至2020年上半年的50万次左右，降幅超过64%。检测量降幅最大的是新加坡(89.79%)，其次是马来西亚(87.65%)和印度尼西亚(68.17%)。此外，菲律宾、泰国和越南的攻击数量也大幅下降。尽管如此，在2020年第二季度，印度尼西亚和越南的勒索软件攻击仍然在全球排名第四和第八，中国、巴西和俄罗斯则在卡巴斯基的勒索软件攻击全球排名中名列前茅。卡巴斯基高级恶意软件分析师费多尔·西尼辛(Fedor Sinitsyn)指出，整个地区的攻击率下降反映了WannaCry勒索软件活动的下降，该活动利用过时的微软Windows系统中的安全缺陷，在2017年造成了全球混乱。他说：“造成攻击减少的主要因素是WannaCry勒索软件的减少。最有可能的是，随着越来越多的系统得到修补，这种不受控制的蠕虫随着时间的推移获得的目标越来越少。” 然而，随着一个威胁的消退，另一个更复杂的威胁正在出现，卡巴斯基东南亚区总经理杨思勇警告说：“勒索...

2020-09-15

683

近年来，针对退伍军人群体发起的网络攻击案例越来越多。根据某些研究机构发起的调查，这些黑客之所以盯上退伍军人，原因在于“要名也要利”，窃取信息获取金钱利益或者利用老兵自身的荣誉进一步行动。就在本周，美国退伍军人事务部(简称VA)周一宣布，遭受第三方恶意网络攻击，泄露了约46000名退伍军人的数据信息。 VA财务服务中心(FSC)负责人表示，“黑客利用未授权用户权限访问了网站。” 此次攻击还采用了社会工程学技巧，并利用身份认证协议获取FSC应用程序，然后再转向为美国老兵提供的专属医疗保险VA支付选项，以此获利。目前，该攻击事件仍在调查中，VA认为黑客可能已经访问了老兵的信息记录，比如社会保障号码。在发生数据泄露事件后，VA的FSC立即通知了那些可能遭受数据泄露的老兵(包括已经去世的老兵近亲)，告知他们数据泄露的潜在风险。同时，VA还将为那些泄露的社会保障号码免费提供社保卡保护服务申请。 VA现在已经关闭FSC应用程序，防止黑客进一步入侵或者劫持相关支付订单，直到全面的安全检查结束后再重新上线。实际上，这不是VA第一次遭受黑客攻击了，在2006年曾发生过一次更大规模的数据泄露事件。一...

2020-09-15

853

资源下载

更多资源

Mario

马里奥是站在游戏界顶峰的超人气多面角色。马里奥靠吃蘑菇成长，特征是大鼻子、头戴帽子、身穿背带裤，还留着胡子。与他的双胞胎兄弟路易基一起，长年担任任天堂的招牌角色。

腾讯云软件源

为解决软件依赖安装时官方源访问速度慢的问题，腾讯云为一些软件搭建了缓存服务。您可以通过使用腾讯云软件源站来提升依赖包的安装速度。为了方便用户自由搭建服务架构，目前腾讯云软件源站支持公网访问和内网访问。

Nacos

Nacos /nɑ:kəʊs/ 是 Dynamic Naming and Configuration Service 的首字母简称，一个易于构建 AI Agent 应用的动态服务发现、配置管理和AI智能体管理平台。Nacos 致力于帮助您发现、配置和管理微服务及AI智能体应用。Nacos 提供了一组简单易用的特性集，帮助您快速实现动态服务发现、服务配置、服务元数据、流量管理。Nacos 帮助您更敏捷和容易地构建、交付和管理微服务平台。

Spring

Spring框架（Spring Framework）是由Rod Johnson于2002年提出的开源Java企业级应用框架，旨在通过使用JavaBean替代传统EJB实现方式降低企业级编程开发的复杂性。该框架基于简单性、可测试性和松耦合性设计理念，提供核心容器、应用上下文、数据访问集成等模块，支持整合Hibernate、Struts等第三方框架，其适用范围不仅限于服务器端开发，绝大多数Java应用均可从中受益。